Prepararsi al peggio: il Disaster Recovery Plan (DRP)

Per riferirsi alla gestione generale delle emergenze, si parla tecnicamente di "gestione della continuità operativa o continuità aziendale", la cui pianificazione è contenuta nel Business Continuity Plan (BCP). Qui viene indicato come tutti i processi possano rimanere funzionanti, anche in casi eccezionali. Questa gestione si articola in tre fasi:

• Prevenzione: in questo punto sono raccolte tutte le misure preventive, volte ad evitare le situazioni critiche. In ambito informatico, l'obiettivo può essere ad esempio quello di aumentare la sicurezza o di appoggiarsi ad un sistema più potente.

• Gestione delle emergenze: per risolvere la situazione di emergenza, si deve reagire velocemente. Il ripristino dei processi e dei sistemi sono una parte importante per ritornare a svolgere il lavoro quotidiano. Rientrano in questa fase anche il piano di emergenza e la gestione della crisi.

• Test ed esercitazioni: parte integrante della gestione della continuità operativa è anche la pianificazione e il regolare svolgimento di test ed esercitazioni. In questo modo il processo viene costantemente migliorato e si identificano i possibili punti deboli.

Nessuno nasce imparato e anche in ambito di sicurezza informatica c'è molto da conoscere. Per proteggere il proprio sistema da accessi indesiderati, attacchi dalla rete o semplicemente da fattori esterni naturali, è utile seguire uno degli standard di sicurezza informatica. In documenti appositi sono così fornite delle linee guida generali per le misure da mettere in atto, ma vi sono anche descritte delle tecniche specifiche. Inoltre è possibile ottenere una certificazione per l'adozione e la messa in pratica di questi standard all'interno del proprio sistema aziendale.

Esistono molteplici standard, ma quelli più usati sono l'ISO/IEC 27001 e l'ISO/IEC 27002. In particolare quest'ultimo può essere considerato come un manuale pratico sulle misure di sicurezza, anche se non ha alcun valore normativo, al contrario dell'ISO 27001 che è invece la base per ottenere la certificazione per la sicurezza informatica. Nell'ISO 27002 è stabilito che tre principi regolano la sicurezza in ambito informatico:

• integrità: riguardante la protezione dei dati in caso di perdite o accessi indesiderati;

• riservatezza: riguardante la tutela dei dati dei clienti, che non dovrebbero, ad esempio, essere forniti a terze parti senza consenso esplicito dei diretti interessati;

• disponibilità: riguardante la possibilità di svolgere le proprie attività in qualsiasi momento e come richiesto.

Inoltre, il documento comprende 10 aree di controllo con diverse sezioni per ogni parte specifica. Tra queste rientrano ad esempio:

• le politiche di sicurezza;

• la sicurezza organizzativa;

• la sicurezza del personale;

• la gestione di comunicazioni e operazioni, ecc.

Anche il manuale di base per la protezione IT (in inglese "IT Baseline Protection Manual"), promosso in Germania dall'Ufficio Federale per la sicurezza informatica, rientra tra gli standard di sicurezza informatica. In questo documento non solo vengono presi in considerazione i rischi generali di qualsiasi struttura informatica, ma viene anche analizzata la situazione particolare dell'azienda e suggeriti quali misure bisognerebbe ancora prendere, conformemente agli standard di riferimento.

Da tempo è stata avviata la digitalizzazione nel mondo del lavoro. Nei settori economici ed industriali si è ormai soliti salvare le informazioni sul proprio business e svolgere i processi in rete, come reclutare nuovi dipendenti (E-Recruitment) o anche avere un centro logistico digitale. Per questo motivo molte aziende si basano quasi interamente su un'infrastruttura IT affidabile e il guasto di un singolo componente può paralizzare il proprio business. Fin quando il sistema non funziona nuovamente, ne conseguono elevati costi, e non solo per la riparazione. Chi investe su un progetto di prevenzione professionale e ha pensato concretamente all'impiego di un Disaster Recovery Plan, risparmierà tempo e denaro in caso di emergenze serie.

Alla base di ogni Disaster Recovery (cioè del ripristino del sistema) c'è un'accurata documentazione di tutte le risorse IT, corretta, puntuale e sempre aggiornata. Per la gestione della situazione di emergenza, ricoprono un ruolo importante sia i dati tecnici sia le liste di utenti, i responsabili e i loro dati di contatto.

La documentazione in un Disaster Recovery Plan contiene ad esempio informazioni su:

• hardware e periferiche come stampanti;

• software;

• indirizzi IP;

• VPN e accessi al server;

• e-mail o altri sistemi per lo scambio di dati.

Anche i dati di contatto dovrebbero essere presenti in un piano simile, in modo da poter contattare subito la giusta persona di riferimento in caso di emergenza. Tra questi rientrano:

• liste di utenti;

• persone di riferimento e responsabili dei singoli settori;

• persone di riferimento per i servizi esterni;

• informazioni contrattuali circa il provider Internet e per l'hosting.

Il Disaster Recovery Plan nasce sulla base di tutti i processi aziendali in stretta collaborazione con i responsabili della gestione della continuità operativa. Essenzialmente il Disaster Recovery Plan fa parte delle misure di sicurezza generali e si inserisce nel quadro delle linee guida esistenti. Tra i contenuti che dovrebbero rientrare nel Disaster Recovery Plan ci sono tra gli altri:

• Definizioni del concetto (Cos'è un'emergenza informatica?)

• Liste del personale con i dati di contatto (v. sopra)

• Piani di allarme e metodi di avvertimento

• Processi di realizzazione per risolvere l'emergenza

• Misure per la risoluzione e documentazione dell'emergenza

• Piano di prevenzione

• Piani di ripristino per tutti gli impianti.

Oltre alla sopra citata documentazione, anche i piani di ripristino per i singoli componenti rientrano tra le fasi più importanti di un Disaster Recovery Plan. La loro messa in atto comporta ovviamente un impegno non indifferente. I tecnici della sicurezza informatica si ritrovano davanti diversi scenari di emergenza. Per questo tipo di situazioni, un Disaster Recovery Plan deve prevedere i giusti procedimenti e soprattutto i piani di ripristino appropriati. Un'analisi precisa dei rischi rivela i punti critici e identifica i settori maggiormente minacciati, ma che sono indispensabili per la routine aziendale. Prima di redigere dei piani di ripristino bisogna:

• analizzare tutte le procedure informatiche;

• analizzare gli hardware;

• verificare tutti i software;

• interrogare tutti i dati del sistema e verificare le transazioni principali.

Infine viene creata una guida per tutti i possibili scenari di emergenza e inseriti nel Disaster Recovery Plan. La messa a punto di un Disaster Recovery Plan, in particolare dei piani di ripristino, è costosa e possibile solo cooperando con tutti i settori aziendali. Anche se esistono modelli o linee guida per creare un Disaster Recovery Plan, si tratta comunque di un processo lungo e intenso. Un orientamento per capire come agire in caso si verifichi un'emergenza informatica, è dato dalle linee guida per il Disaster Recovery delle pubbliche amministrazioni, promosso dall'Agenzia per l'Italia Digitale. Oltre alla redazione di questo piano, è necessario aggiornarlo regolarmente e fare dei corsi appositi per preparare i dipendenti a queste eventualità. Gli imprenditori dovrebbero perciò considerare, se non sarebbe più vantaggioso rivolgersi a servizi esterni, invece che organizzare internamente con il proprio team la gestione del Disaster Recovery.

La pianificazione di un Disaster Recovery Plan è un lavoro necessario e prezioso per evitare alle aziende ingenti perdite. In generale servono in media 3,8 ore per un ripristino dopo un guasto del sistema informatico, cosa che fa aggirare approssimativamente i costi intorno ai 25.000 Euro. In caso di quattro guasti o interruzioni all'anno, i danni complessivi ammontano a circa 380.000 Euro all'anno. Tramite un'analisi esatta e simulazioni di ipotetici scenari è possibile individuare e risolvere i punti deboli. Così non solo ci si prepara ad eventuali emergenze, ma si aumenta allo stesso tempo la sicurezza del sistema. La sicurezza per prevenire guasti o interruzioni viene massimizzata, mentre l'impatto degli scenari simulati diminuisce.